著名npm包被毁,GitHub强烈谴责!开源作者因反俄给代码投毒遭猛烈抨击
新智元报道
编辑:桃子 拉燕
【新智元导读】继此前faker.js开源作者删除所有代码后,近日,开源代码的维护者因反俄给node-ipc库中添加了恶意代码,遭到GitHub社区的强烈谴责。
开发者自毁代码,只为不让俄罗斯人使用。
据Github上发布的一份公告称,一位流行的开源软件的技术专家和维护者故意破坏了他们自己的代码。
他们向非常受欢迎的node-ipc库中添加了恶意代码,用「心脏」表情符号替换了文件。
并将遭到破坏的npm程序库版本称为「新软件」,并非「恶意软件」。
这么做的目的就是为了谴责俄罗斯入侵乌克兰,但是这还会影响使用该代码的其他开发者,因此遭到了GitHub社区强烈反对。
开发者投毒「社死」
首先简单介绍下node-ipc库。
node-ipc 是用于本地和远程间通信的 nodejs 模块,支持Linux、Mac 和 Windows 系统。它还支持底层unix和UDP的windows 套接字,并保护TLS 和TCP 套接字的安全。
它是解决Node.js 中复杂多进程 Neutral Networking 的很好的解决方案。截止 9.2.2版本,该模块使用peacenotwar模块。
开发者自毁代码这件事适于3月8日。
当时npm的维护者 Brandon Nozaki Miller (又名 RIAEvangelist) 编写了源代码,并发布了名为peacenotwar和oneday-test两个模块。
部分恶意代码
peacenotwar被RIAEvangelist称作「抗议软件」,并作为依赖项而包含在node-ipc的代码中。
这意味着node-ipc的某些版本,可能与peacenotwar捆绑到一起。
带有多语种和平信息的 WITH-LOVE-FROM-AMERICA.txt 文件
RIAEvangelist 在代码描述中写道,
这段代码是非破坏性的例子,说明了控制你的节点模块的重要性。同时它也可以作为一种非暴力的抗议形式,以反对当前俄乌冲突造成的威胁。不过出于礼貌,只有在不存在时,该模块才会在你的用户桌面上添加一条呼吁和平的信息。
此外,RIAEvangelist鼓励更多人在项目中添加参与数字抗议的代码,并在 peacenotwar 的 GitHub 页面上,贴上了 YouTube 视频链接、以及来自音乐艺术家 Mattisyahu 的和平歌曲《One Day》的歌词。
安全公司 Snyk 的研究员Liran Tal一直追踪这些变化并在周三发布了调查结果。
Tal表示,RIAEvangelist在npm上维护了超过40个包。任何系统只要与俄罗斯或白俄罗斯的地理位置相匹配,就会发生非常明显的滥用和关键的供应链安全事件,这些 npm 包将被直接调用。
RIAEvangelist这一行为也在推特和GitHub社区上遭到抨击,简直就是大型社死现场。
「这就像特斯拉故意输入代码来检测某些司机。」
「如果被删除的文件实际上是重要内容,其他人怎么办?」
还有人表示,「有人用行动表明开源是有国界的。供应链污染并非良策。」
一位俄罗斯人出来表示,这不会阻止战争,只会损伤其他人的利益。
RISC-V成唯一选择
Arm在此前也宣称将不再给俄罗斯提供相关服务。虽然Arm自己不生产处理器,但博通、高通等芯片公司却需要Arm的产品。
所以,一旦Arm停止在俄的服务,相关服务商将会面临困境。
但俄罗斯并不是一点办法都没有。
俄罗斯搜索引擎公司Yandex在本月初的投资者大会上曾表示,「我们相信,俄罗斯现有的数据中心容量和其他相关的技术将使俄罗斯能够在至少未来12到18个月内继续正常运营。」
但是,另一份声明则表示,「如果俄罗斯的业务或产品中使用的硬件、软件或其他技术的供应长期暂停,如果我们无法获得替代来源,未来我们的运营可能会受到重大不利影响。」
眼下,x86和Arm都停止供应,只剩下RISC-V是俄罗斯仅有的选择。
RISC-V是一个基于精简指令集(RISC)原则的开源指令集架构(ISA)。
与大多数指令集相比,RISC-V指令集可以自由地用于任何目的。它允许任何人设计、制造和销售RISC-V芯片和软件。
虽然这不是第一个开源指令集,但它具有重要意义。设计者考虑到了这些用途中的性能与功率效率。该指令集还具有众多支持的软件,这解决了新指令集通常的弱点。
RISC-V指令集的设计考虑了小型、快速、低功耗的现实情况来操作,但并没有对特定的微架构做过多的设计。
和主流的x86和Arm芯片相比,目前的RISC-V尚未建立起完整的生态,在高性能领域还未取得突出的成绩。
有专家表示,RISC-V 和 Arm 打成平手,可能还需要数年时间。
而在2021年,俄罗斯从事技术投资的企业集团Rostec已与服务器公司Yadro和硅设计公司 Syntacore达成协议,将为计算机、笔记本电脑和笔记本电脑开发RISC-V处理器。
报告中表明,Syntacore将开发出足够强大的RISC-V芯片,到2025年能为政府和教育系统提供足够动力。
据报道称,该项目的成本约为300亿卢布(约4亿美元),该项目的领导者计划销售60,000个以RISC-V为内核作为主要处理内核的新处理器系统。
报告称,目标是构建一个8核的处理器,运行频率为2GHz,使用12纳米工艺。
在项目资金中,三分之二将由项目的主要客户(如Rostec和其子公司)提供,而最后三分之一则来自联邦预算。
这些处理器将在俄罗斯教育和科学部以及卫生部试运行。
参考资料:
https://threatpost.com/dev-sabotages-popular-npm-package-protest-russian-invasion/178972/
https://www.freebuf.com/news/325223.html
https://www.bleepingcomputer.com/news/security/big-sabotage-famous-npm-package-deletes-files-to-protest-ukraine-war/amp/
技术交流群
最近有很多人问,有没有读者交流群,想知道怎么加入。
最近我创建了一些群,大家可以加入。交流群都是免费的,只需要大家加入之后不要随便发广告,多多交流技术就好了。
目前创建了多个交流群,全国交流群、北上广杭深等各地区交流群、面试交流群、资源共享群等。
有兴趣入群的同学,可长按扫描下方二维码,一定要备注:全国 Or 城市 Or 面试 Or 资源,根据格式备注,可更快被通过且邀请进群。
▲长按扫描
往期推荐
为什么俄罗斯不怕芯片卡脖子?
员工离职时被HR回复“猝死了再说”!HR道歉:没控制好情绪
外包,狗都不去。。
如果你喜欢本文,
请长按二维码,关注 Hollis.
转发至朋友圈,是对我最大的支持。
点个 在看
喜欢是一种感觉
在看是一种支持
↘↘↘
著名npm包被毁,GitHub强烈谴责!开源作者因反俄给代码投毒遭猛烈抨击相关推荐
- GitHub上Swift开源项目!
swift-open-project 这里汇集了目前为止最为流行的Swift开源项目,选取SwiftGuide中的开源部分,这里将每周对项目进行总结,如果大家有推荐的可以联系thinkloki@gma ...
- 数亿下载量的npm包被“投毒”,前端开源将如何?
作者 | 张洁 责编 | 屠敏 2021年,开源软件引发的安全性问题层出不穷,继影响广泛的Log4j2漏洞,还有因没有开源收入,著名开源npm包faker.js和colors.js项目作者Marak ...
- github 6月开源项目_我的开源项目如何在短短5天内在GitHub上赢得6,000颗星
github 6月开源项目 Last month I launched two open source projects on GitHub. A few days later, my Front-E ...
- 发布npm包到GitHub Packages
发布Npm包到GitHub Packages Github集成了GitHub Packages功能,目前提供了Npm.Docker.Maven.NuGet.RubyGems的包管理工具,可以通过Git ...
- 高达 800 万次下载量的 npm 包被黑客篡改了代码,你的设备或正成为挖矿机
今天,不少开发者"原地爆炸",因为一个广泛使用的 NPM 库 event-stream 突然被发现包含一个名为 flatmap-stream 的依赖项,而这个依赖项被植入了窃取比特 ...
- GitHub 发布 Octoverse 开源软件安全趋势报告(超详)
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 近日,GitHub 发布 Octoverse 安全报告,如下是对该报告的节选编译. 概要 开源是很多信息经济的结缔组织.如今很难找到数 ...
- Android github上优秀开源项目分类汇总
第一部分 个性化控件(View) 主要介绍那些不错个性化的 View,包括 ListView.ActionBar.Menu.ViewPager.Gallery.GridView.ImageView.P ...
- github上Android开源项目汇总(带效果图)
第一部分 个性化控件(View) 主要介绍那些不错个性化的 View,包括 ListView.ActionBar.Menu.ViewPager.Gallery.GridView.ImageView.P ...
- GitHub中Android开源项目及库汇总
几个常用网站: github排名: https://github.com/trending , github搜索: https://github.com/search codeKK : ht ...
- 转载GitHub中Android开源项目及库汇总
转自:https://blog.csdn.net/u013472738/article/details/78153077 几个常用网站: github排名: https://github.com/tr ...
最新文章
- 不懂 Zookeeper?没关系,看这篇就够了!
- 数组反向遍历ios_LeetCode106.从中序与后序遍历序列构造二叉树(Construct Binary Tree from Inor...)...
- html鼠标滚动图片折叠,鼠标滑过图片3D折叠效果
- MySQL-高并发优化
- python语言中strike_基于Python的XSS测试工具XSStrike使用方法
- wamp环境单独安装(windows下apache2.4、mysql5.5、php5.5的版本)
- poj3414 Pots
- 图像处理——alpha融合
- java集合面试题总结
- IDEA 使用Tomcat热部署
- 关于dijistra算法的理解
- 基于OXC的光电联动全光网组网方案研究与实践
- 【备忘】修复过的SCCM报错
- python手机触屏代码_使用python实现触摸?
- 数据驱动「付费转化」的3个思路
- 使用Python+OpenCV+FaceNet 实现亚马逊门铃系统上的人脸识别
- 计算机网络(五)—— 运输层(8):TCP的连接建立和连接释放
- matlab不支持复数输入,高版本MATLAB中medfilt1函数不支持复数问题
- 腐蚀rust电脑分辨率调多少_腐蚀RUST怎么提高游戏画质_提高游戏画质方法介绍
- 阿里云无影研发负责人任晋奎:无影核心技术能力突破,打造云网端融合的全新体验
热门文章
- Pandas数据分析实战(1)——探索Chipotle快餐数据
- 我的世界服务器怎么制作头颅,我的世界怎么刷生物头颅 我的世界生物头颅制作方法-游侠网...
- 介绍现有三大前端框架-思想
- threejs学习第一天--3D地月环绕实战案例
- 听老罗讲这一代人的学习方法有感
- 127.0.0.1 192.168 localhost 之间的区别
- 翟菜花:国产游戏为什么还不适合出海“亮剑”
- 树莓派——TSL2561获取光强数值(C语言)
- 英雄联盟——心得体会
- sql :统计各个状态总数_博客状态:统计信息和更新